РЕШЕНИЕ НА КОМИСИЯТА
от 19 октомври 2010 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата на личните данни в Андора
(нотифицирано под номер C(2010) 7084)
(текст от значение за ЕИП)
(2010/625/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни на трета държава може да се извършва, само ако въпросната трета държава осигурява подходяща степен на защита и ако законодателствата на държавите-членки по прилагането на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватна степен на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с предаване на данни или с набор от операции по предаване на данни, като се отчитат редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде прието и изпълнявано по начин, който не води до произволна или неоснователна дискриминация по отношение на трети държави или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка пред търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Държавата Андора е парламентарно княжество, представлявано от двама съкнязе - президента на Френската република и епископа на Урхел.
(6)
Правото на личен живот е залегнало в член 14 от Конституцията на Княжество Андора (Constitució del Principat d’Andorra), одобрена с национален референдум на 14 март 1993 г.
(7)
Правните норми за защита на личните данни в Андора се основават до голяма степен на стандартите, установени в Директива 95/46/ЕО, и са залегнали в Квалифициран закон 15/2003 от 18 декември относно защитата на личните данни (Llei qualificada de protecció de dades personals) (LQPDP). Това законодателство за защита на данните допълват два указа - указ от 1 юли 2004 г. за създаване на публичния регистър за вписване на личните данни и указ от 9 юни 2010 г. за одобряване на правилниците на Агенцията по защита на данните на Андора. Вторият инструмент изяснява няколко въпроса, повдигнати от работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, в нейното становище от 1 декември 2009 г. (2)
(8)
Разпоредби за защита на данните се съдържат и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормативните разпоредби в областта на здравеопазването и публичните регистри.
(9)
Андора е ратифицирала Конвенцията на Съвета на Европа за защита на лицата при автоматизирана обработка на лични данни от 28 януари 1981 г. и допълнителния протокол към Конвенцията за защита на лицата при автоматизирана обработка на лични данни по отношение на надзорните органи и трансграничните потоци от данни от 8 ноември 2001 г., както и Конвенцията на Съвета на Европа за защита на правата на човека и основните свободи от 4 ноември 1950 г., която е в сила в Андора от 22 януари 1996 г., и Международния пакт за граждански и политически права от 16 декември 1966 г., който е в сила в Андора от 19 юли 2006 г.
(10)
Правните норми за защита на данните, приложими в Андора, обхващат всички основни принципи, необходими за осигуряване на адекватна степен на защита на физическите лица, като също така предвиждат възможността за изключения и ограничения, с цел да бъдат защитени важни обществени интереси. Прилагането на тези правни норми за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Агенцията по защита на данните на Андора, която разполага с правомощия за разследване и намеса и която действа напълно независимо.
(11)
Органите на Андора за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува правото на Андора, и също така потвърдиха, че законодателството за защита на данните на Андора се прилага в съответствие с това тълкуване. Настоящото решение отчита тези обяснения и уверения и следователно е обусловено от тях.
(12)
Следователно следва да се счита, че Андора осигурява адекватна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се посочат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано въпреки констатирането на адекватна защита.
(14)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (3). В своето благоприятно становище работната група насърчи органите на Андора да продължат текущия процес на приемане на допълнителни разпоредби, които ще разширят обхвата на прилагане на законодателството на Андора, така че в него да се включат автоматизираните индивидуални решения, тъй като това в момента не е изрично признато в квалифицирания закон за защита на личните данни на Андора.
(15)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Андора осигурява адекватна степен на защита на личните данни, предавани от Европейския съюз.
Член 2
Настоящото решение се отнася до адекватността на защитата, осигурена в Андора с оглед на изпълняване на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не засяга други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националните разпоредби, приети в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правомощията, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Андора с цел защита на лицата по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен орган на Андора е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност да се нарушават нормите на защита, има основателни причини да се смята, че компетентният орган в Андора не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за съответните физически лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Андора, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират нормите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки уведомяват незабавно Комисията за приетите на основание член 3 мерки.
2. Държавите-членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за гарантиране на спазването на нормите за защита в Андора, не успеят да осигурят тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира съблюдаването на нормите за защита в Андора, не изпълнява действително своята роля, Комисията уведомява за това компетентния орган в Андора и, ако е необходимо, представя проект за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава действието на настоящото решение и съобщава съответните констатации на Комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяка явна информация, която би могла да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Андора е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяка явна информация, че настоящото решение се прилага по дискриминационен начин.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението до 1 януари 2011 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 19 октомври 2010 година.
32010D0625
L 277/27
SLUŽBENI LIST EUROPSKE UNIJE
ODLUKA KOMISIJE
od 19. listopada 2010.
sukladno Direktivi 95/46/EZ Europskog parlamenta i Vijeća o odgovarajućoj zaštiti osobnih podataka u Andori
(priopćena pod brojem dokumenta C(2010) 7084)
(Tekst značajan za EGP)
(2010/625/EU)
EUROPSKA KOMISIJA,
uzimajući u obzir Ugovor o funkcioniranju Europske unije,
uzimajući u obzir Direktivu 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka (1), a posebno njezin članak 25. stavak 6.,
nakon savjetovanja s Europskim nadzornikom zaštite podataka,
budući da:
(1)
Sukladno Direktivi 95/46/EZ, države članice su dužne osigurati da se prijenos osobnih podataka u treću zemlju može ostvariti jedino ako dotična treća zemlja osigurava odgovarajuću razinu zaštite i ako se poštuju zakoni te države članice za provedbu ostalih odredaba Direktive prije prijenosa.
(2)
Komisija može utvrditi da treća zemlja osigurava odgovarajuću razinu zaštite. U tom slučaju, osobni podaci mogu se prenositi iz država članica bez potrebe dodatnih jamstava.
(3)
Sukladno Direktivi 95/46/EZ, razinu zaštite podataka treba procijeniti imajući u vidu sve okolnosti u vezi s postupkom prijenosa podataka ili skupom postupaka prijenosa podataka i imajući poseban obzir prema brojnim elementima važnim za prijenos, navedenim u njezinom članku 25.
(4)
S obzirom na različite pristupe zaštiti podataka u trećim zemljama, trebalo bi provesti procjenu primjerenosti i svaku odluku koja se temelji na članku 25. stavku 6. Direktive 95/46/EZ treba provesti tako da ne bude proizvoljne ili neopravdane diskriminacije protiv trećih zemalja ili među trećim zemljama gdje prevladavaju slični uvjeti, niti da se stvore prikrivene prepreke za trgovanje, uvažavajući trenutačne međunarodne obveze Europske unije.
(5)
Andora je država sa sustavom parlamentarne sukneževine, s predsjednikom Francuske Republike i urgelskim nadbiskupom kao sukneževima.
(6)
Pravo na privatnost sadržano je u članku 14. Ustava Kneževine Andore (Constitució del Principat d’Andorra), kako je odobreno općim referendumom 14. ožujka 1993.
(7)
Pravni propisi za zaštitu osobnih podataka u Andori se uvelike temelje na standardima iz Direktive 95/46/EZ te su propisani Organskim zakonom 15/2003 od 18. prosinca o zaštiti osobnih podataka (Llei qualificada de protecció de dades personals) (LQPDP). Ovo zakonodavstvo o zaštiti podataka je dodatno upotpunjeno Odlukom od 1. srpnja 2004. kojom se osniva Javni registar za upis osobnih podataka i Odlukom od 9. lipnja 2010. kojom se potvrđuju uredbe andorske Agencije za zaštitu podataka. Potonji instrument pojašnjava nekoliko pitanja koje je Radna skupina za zaštitu pojedinaca, osnovana člankom 29. Direktive 95/46/EZ, uputila na temu obrade osobnih podataka u svojemu Mišljenju od 1. prosinca 2009. (2)
(8)
Odredbe zaštite podataka su također sadržane u brojnim pravnim instrumentima koji reguliraju različite sektore, kao što su zakonodavstvo financijskog sektora, zdravstveni propisi i javni registri.
(9)
Andora je ratificirala Konvenciju Vijeća Europe za zaštitu pojedinaca u vezi s automatskom obradom osobnih podataka od 28. siječnja 1981. te Dodatni protokol Konvencije Vijeća Europe za zaštitu pojedinaca u vezi s automatskom obradom osobnih podataka, koji se odnosi na nadzorna tijela i prekogranični protok podataka od 8. studenoga 2001., kao i Konvenciju Vijeća Europe za zaštitu ljudskih prava i temeljnih sloboda od 4. studenoga 1950., u Andori na snazi od 22. siječnja 1996., te Međunarodni pakt o građanskim i političkim pravima od 16. prosinca 1966., na snazi u Andori od 19. srpnja 2006.
(10)
Pravni standardi zaštite podataka, koji se primjenjuju u Andori, obuhvaćaju sva temeljna načela potrebna za odgovarajuću razinu zaštite fizičkih osoba, čak i ako su utvrđene iznimke i ograničenja da bi se zaštitili bitni javni interesi. Primjena ovih pravnih standarda zaštite podataka je zajamčena administrativnim i pravosudnim lijekovima i neovisnim nadzorom koji provodi nadzorno tijelo, andorska Agencija za zaštitu podataka, koja je ovlaštena za istrage i intervencije i koja djeluje u potpunosti neovisno.
(11)
Andorska tijela za zaštitu podataka dala su objašnjenja i jamstva o interpretaciji andorskog zakona te jamstva da se andorsko zakonodavstvo o zašiti podataka provodi u skladu s tom interpretacijom. Ova Odluka uzima u obzir ta objašnjenja i jamstva te je stoga njima uvjetovana.
(12)
Andora se stoga mora smatrati za pružatelja odgovarajuće razine zaštite osobnih podataka iz Direktive 95/46/EZ.
(13)
U interesu transparentnosti i da bi se zaštitila sposobnost nadležnih tijela u državama članicama da osiguraju zaštitu pojedinaca s obzirom na obradu njihovih osobnih podataka, potrebno je navesti iznimne okolnosti u kojima obustava određenih protoka podataka može biti opravdana, bez obzira na pronalazak odgovarajuće zaštite.
(14)
Radna skupina za zaštitu pojedinaca s obzirom na obradu osobnih podataka koja je osnovana sukladno članku 29. Direktive 95/46/EZ dala je mišljenja o razini zaštite koju pruža švicarsko pravo, što je uzeto u obzir pri pripremi ove Odluke (3). U svom pozitivnom mišljenju Radna skupina je ohrabrila andorska tijela vlasti u tekućem procesu usvajanja daljnjih odredaba, koje će proširiti primjenu andorskog zakonodavstva na automatizirane zasebne odluke, budući da to trenutačno nije izričito prepoznato od strane andorskog Organskog zakona o zaštiti osobnih podataka.
(15)
Mjere navedene u ovoj Odluci u skladu su s mišljenjem Odbora osnovanog člankom 31. stavkim 1. Direktive 95/46/EZ,
DONIJELA JE OVU ODLUKU:
Članak 1.
Za potrebe članka 25. stavka 2. Direktive 95/46/EZ, Andora se smatra pružateljem odgovarajuće razine zaštite osobnih podataka prenesenih iz Europske unije.
Članak 2.
Ova se Odluka tiče samo primjerenosti zaštite koju pruža Andora u smislu ispunjavanja zahtjeva iz članka 25. stavka 1. Direktive 95/46/EZ i ne utječe na ostale uvjete ili ograničenja za provedbu ostalih odredaba Direktive koje se odnose na obradu osobnih podataka u državama članicama.
Članak 3.
1. Ne dovodeći u pitanje svoje ovlasti da poduzimaju mjere za osiguranje usklađenosti s nacionalnim odredbama usvojenima u skladu s odredbama koje nisu iz članka 25. Direktive 95/46/EZ, nadležna tijela država članica mogu koristiti svoje postojeće ovlasti da obustave protok podataka prema primatelju u Andori kako bi zaštitili pojedince s obzirom na obradu njihovih osobnih podataka u slučajevima ako:
(a)
je nadležno andorsko tijelo utvrdilo da primatelj krši odgovarajuće standarde zaštite; ili
(b)
ako postoji stvarna vjerojatnost da je došlo do povrede standarda zaštite, gdje postoje utemeljene osnove za vjerovati da nadležno andorsko tijelo ne poduzima ili neće poduzeti odgovarajuće i pravovremene korake kako bi riješilo dotični slučaj, ako bi nastavak prijenosa stvorio trenutnu opasnost od nastanka ozbiljne štete za vlasnike podataka i ako su nadležna tijela država članica poduzela razumne napore da u tim okolnostima obavijeste stranku odgovornu za obradu sa sjedištem u Andori i dala joj mogućnost da se očituje.
2. Obustava prestaje čim su osigurani standardi zaštite i čim je dotično nadležno tijelo u Zajednici o tome obaviješteno.
Članak 4.
1. Države članice moraju bez odgode obavijestiti Komisiju kada su mjere na temelju članka 3. usvojene.
2. Države članice i Komisija će obavijestiti jedni duge o slučajevima ako aktivnosti tijela odgovornih za osiguravanje usklađenosti sa standardima zaštite u Andori ne uspijevaju osigurati takvu usklađenost.
3. Ako informacije prikupljene prema članku 3. i prema stavcima 1. i 2. ovog članka pružaju dokaze da bilo koje tijelo odgovorno za osiguravanje usklađenosti sa standardima zaštite u Andori ne ispunjava svoju ulogu učinkovito, Komisija mora obavijestiti tijela nadležna andorska tijela i, ako je potrebno, predstaviti nacrt mjera u skladu s postupkom iz članka 31. stavka 2. Direktive 95/46/EZ s ciljem stavljanjem izvan snage ili suspenzije ove Odluke ili smanjenja njenog djelokruga.
Članak 5.
Komisija mora nadzirati funkcioniranja ove Odluke i prijaviti svaki relevantan zaključak Odboru osnovanom člankom 31. Direktive 95/46/EZ, uključujući bilo koji dokaz koji bi mogao utjecati na zaključak iz članka 1. ove Odluke da je zaštita u Andori odgovarajuća u smislu članka 25. Direktive 95/46/EZ i svaki dokaz da se ova Odluka provodi na diskriminatorni način.
Članak 6.
Države članice moraju poduzeti sve mjere potrebne za usklađivanje s Odlukom do 1. siječnja 2011.
Članak 7.
Ova je Odluka upućena svim državama članicama.
Sastavljeno u Bruxellesu 19. listopada 2010.